AI Act em Portugal: ANACOM, CNPD e quem fiscaliza a IA

Em Portugal, o AI Act (Regulamento da IA) vigora desde 1 de agosto de 2024 e aplica-se diretamente, sem lei de transposição. O Governo anunciou em setembro de 2025 que a ANACOM será a autoridade de fiscalização do mercado e o ponto de contacto único. A CNPD continua responsável pelos dados pessoais. O diploma nacional sobre autoridades e coimas ainda não estava publicado em outubro de 2026.

Pontos-chave

• O Regulamento (UE) 2024/1689 é um regulamento europeu: vincula as empresas portuguesas sem esperar por legislação nacional.
• A ANACOM foi a escolha anunciada pelo Governo, a 19 de setembro de 2025, para fiscalizar o mercado e servir de ponto de contacto único. Em 2026 já pôs em consulta orientações sobre literacia no domínio da IA e sobre práticas proibidas.
• Catorze entidades nacionais, da ACT à Polícia Judiciária, foram identificadas como autoridades de proteção dos direitos fundamentais (artigo 77.º). A CNPD não faz parte dessa lista, mas continua a fiscalizar o RGPD.
• A Agenda Nacional de Inteligência Artificial prevê definir autoridades, modelo de coordenação e regime sancionatório, bem como criar sandboxes regulatórios. À data de outubro de 2026, essas peças ainda não estavam todas publicadas.
• A falta de um diploma nacional não suspende nenhuma obrigação: práticas proibidas, literacia e transparência já se aplicam.

O AI Act precisa de uma lei portuguesa para se aplicar?

Não. Ao contrário de uma diretiva, um regulamento europeu é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. As proibições do artigo 5.º e o dever de literacia do artigo 4.º aplicam-se em Portugal desde 2 de fevereiro de 2025, tal como em Espanha ou na Suécia. Os deveres de transparência do artigo 50.º aplicam-se desde 2 de agosto de 2026.

O que o regulamento deixa aos Estados-Membros é a parte institucional: designar autoridades nacionais competentes (artigo 70.º), fixar o regime de sanções dentro dos limites do artigo 99.º, criar pelo menos um ambiente de testagem da regulamentação da IA (artigo 57.º) e organizar a cooperação entre reguladores. É aqui que Portugal ainda tem trabalho por fazer. Se procura primeiro uma visão geral do regulamento, comece pelo nosso guia sobre o AI Act. Se já sabe que ferramentas de IA a sua empresa usa, pode avançar para uma avaliação gratuita de governação de IA face ao AI Act, que liga as suas respostas às obrigações que já estão em vigor.

Quem é quem: as autoridades portuguesas e o seu papel

A tabela resume a situação à data de outubro de 2026. Onde a designação ainda não tem base legal publicada, dizemo-lo expressamente.

ANACOM: o regulador escolhido para a IA

O prazo europeu para designar as autoridades nacionais terminou a 2 de agosto de 2025, e Portugal não o cumpriu. Semanas depois, a 19 de setembro de 2025, o Secretário de Estado da Digitalização anunciou na conferência anual da ANACOM que o Governo pretende atribuir-lhe o papel de autoridade de fiscalização do mercado e de ponto de contacto único. A justificação dada foi a experiência da ANACOM na regulação de mercados tecnológicos e o facto de já ter funções na regulação dos serviços digitais.

A ANACOM não esperou pelo diploma para começar a trabalhar. Em 2026 colocou em consulta pública dois documentos que qualquer empresa portuguesa deve ler:

• Orientações organizacionais para a implementação da literacia em IA (artigo 4.º), publicadas em projeto a 4 de maio de 2026, com consulta até 1 de junho de 2026. A própria ANACOM descreve-as como um instrumento de boas práticas que não cria obrigações adicionais. Explicamos o que isto significa na prática no artigo sobre formação em IA e literacia exigida pelo AI Act.
• Recomendações para a implementação do artigo 5.º (práticas de IA proibidas), decididas a 16 de junho de 2026. Propõem um programa em seis passos: identificar os sistemas de IA, mapeá-los e classificá-los por risco, identificar os proibidos, registá-los, retirá-los do mercado e repetir a avaliação todos os anos. O documento chama ainda a atenção para soluções com funcionalidades agênticas, que podem aumentar o risco.

Repare no primeiro passo das recomendações: identificar os sistemas de IA. É exatamente o exercício de inventário que descrevemos no guia sobre shadow AI e inventário de IA na empresa. Sem saber o que existe, não há classificação possível. À data de outubro de 2026, as versões finais destes documentos devem ser confirmadas diretamente no sítio da ANACOM.

CNPD: a IA continua a ser um tema de proteção de dados

Muitas pesquisas por «cnpd ia» partem de uma pergunta simples: com o AI Act, quem trata das queixas sobre IA que usa dados pessoais? A resposta curta é que o RGPD não foi substituído. Um chatbot de apoio ao cliente que regista conversas, uma ferramenta de triagem de candidaturas ou o Microsoft Copilot a ler o correio eletrónico de uma equipa tratam dados pessoais. Tudo isso continua sob a alçada da CNPD, com base no RGPD e na Lei n.º 58/2019.

A CNPD tem mostrado atenção ao tema. Em maio de 2025 emitiu um alerta sobre a utilização de publicações de utilizadores para treinar a IA da Meta e divulgou a metodologia do Comité Europeu para a Proteção de Dados sobre riscos de privacidade em modelos de linguagem. No relatório de atividades de 2025 inclui uma ação de reforço das suas capacidades em inteligência artificial. O que ainda não está definido, à data de outubro de 2026, é se a CNPD receberá funções de fiscalização do mercado ao abrigo do Regulamento da IA, por exemplo para sistemas de risco elevado usados na aplicação da lei. A CNPD não consta da lista das 14 entidades do artigo 77.º.

Na prática, as empresas portuguesas devem tratar a IA com uma dupla lente: a avaliação de impacto sobre a proteção de dados (AIPD) do RGPD e, para certos sistemas de risco elevado, a avaliação de impacto sobre os direitos fundamentais do artigo 27.º do AI Act, que pode aproveitar a AIPD já feita. A nossa página de conformidade com o RGPD resume como trabalhamos essa parte.

As 14 entidades do artigo 77.º

O artigo 77.º obriga cada Estado-Membro a identificar as autoridades públicas que fiscalizam o respeito dos direitos fundamentais, incluindo a não discriminação, quando estão em causa sistemas de risco elevado do anexo III. Portugal notificou a sua lista em novembro de 2024. Segundo a página da Entidade Reguladora da Saúde, são 14: ACT, ANACOM, ASAE, ERC, ERS, ERSE, Gabinete Nacional de Segurança, IGAI, IGDN, IGEC, IGF, IGMTSSS, IGSJ e Polícia Judiciária.

Estas entidades não aplicam coimas do AI Act por si só. Têm o poder de pedir e aceder à documentação que o regulamento exige quando isso for necessário ao seu mandato, e informam a autoridade de fiscalização do mercado. Em termos práticos: uma empresa que use IA para avaliar trabalhadores pode receber um pedido da ACT; um hospital que use IA na triagem pode receber um pedido da ERS. A documentação tem de estar pronta e ser compreensível.

Sandbox e apoio à inovação

O artigo 57.º exige que cada Estado-Membro tenha pelo menos um ambiente de testagem da regulamentação da IA (o termo oficial português para «sandbox regulatório») operacional até 2 de agosto de 2027. A Agenda Nacional de Inteligência Artificial, aprovada pela Resolução do Conselho de Ministros n.º 2/2026, prevê três medidas diretamente ligadas ao regulamento:

• Medida IV.4, implementação do Regulamento de IA, com início no 1.º semestre de 2026: definir as autoridades competentes, o modelo de coordenação e o quadro sancionatório.
• Medida IV.5, sandboxes regulatórios, com início no 2.º semestre de 2026, que deverá aproveitar e melhorar o regime das zonas livres tecnológicas criado pelo Decreto-Lei n.º 67/2021, de 30 de julho.
• Medida IV.6, guia de implementação, com ANACOM, ARTE, IPQ e ANI: um guia prático, normas, ferramentas nacionais de avaliação de risco e apoio à avaliação da conformidade de sistemas de risco elevado.

À data de outubro de 2026, não identificámos um sandbox de IA em funcionamento em Portugal. Uma startup que queira testar um sistema de risco elevado deve acompanhar os anúncios da ANACOM e da ANI.

E as coimas, se ainda não há regime nacional?

Os limites máximos estão no próprio regulamento: até 35 milhões de euros ou 7 % do volume de negócios anual a nível mundial pelas práticas proibidas, até 15 milhões de euros ou 3 % pela maioria das outras obrigações e até 7,5 milhões de euros ou 1 % por informações incorretas às autoridades. Nas PME aplica-se o valor mais baixo. Cabe ao Estado português definir o procedimento contraordenacional, a autoridade que aplica cada coima e os critérios. Enquanto esse diploma não for publicado, a aplicação de coimas pelas autoridades nacionais tem uma base menos clara, mas isso não altera as obrigações. Clientes empresariais, auditores e, mais tarde, as próprias autoridades vão olhar para o que a sua empresa fez desde 2025, e não para a data da lei portuguesa.

O que uma empresa portuguesa deve fazer agora

1. Inventariar a IA. Inclua ferramentas compradas, funcionalidades embutidas em software (CRM, ERP, Microsoft 365) e projetos internos.
2. Verificar as práticas proibidas. Use as recomendações da ANACOM sobre o artigo 5.º como lista de controlo.
3. Documentar a literacia. Uma política de utilização, formação por função e registos simples respondem ao artigo 4.º e às orientações da ANACOM.
4. Cumprir a transparência do artigo 50.º. Chatbots identificados como IA e conteúdos sintéticos assinalados.
5. Preparar o risco elevado com tempo. Recrutamento, crédito, seguros de vida e saúde e educação têm prazo a 2 de dezembro de 2027. O calendário completo dos prazos do AI Act mostra o resto.

Perguntas frequentes

Qual é a autoridade responsável pelo AI Act em Portugal?

O Governo anunciou em setembro de 2025 que a ANACOM será a autoridade de fiscalização do mercado e o ponto de contacto único para o Regulamento da IA. A ANACOM já publicou projetos de orientações em 2026. À data de outubro de 2026, não encontrámos no Diário da República o diploma que formaliza essa designação, pelo que convém confirmar a situação no sítio da ANACOM.

A CNPD fiscaliza a inteligência artificial?

Fiscaliza tudo o que a IA faça com dados pessoais, porque continua a ser a autoridade de controlo do RGPD. Treino de modelos com dados de clientes, gravação de conversas de chatbots ou análise de dados de trabalhadores são matérias da CNPD. O seu eventual papel específico ao abrigo do Regulamento da IA ainda não estava definido em outubro de 2026.

Portugal vai aprovar uma lei própria sobre inteligência artificial?

Não é necessária uma lei para o regulamento se aplicar. O que falta é um diploma de execução que designe as autoridades e fixe o regime sancionatório, previsto na medida IV.4 da Agenda Nacional de Inteligência Artificial. À data de outubro de 2026, esse diploma não estava publicado, segundo a nossa verificação.

As orientações da ANACOM são obrigatórias?

Não. A ANACOM apresenta as orientações sobre literacia como boas práticas que não criam obrigações adicionais, e as recomendações sobre o artigo 5.º como apoio à aplicação de regras já em vigor. Mas indicam o que o futuro fiscalizador espera ver, por isso seguir a sua estrutura é uma forma sensata de documentar a conformidade.

As empresas portuguesas podem esperar pela lei nacional?

Não devem. As práticas proibidas e a literacia aplicam-se desde fevereiro de 2025 e a transparência desde agosto de 2026, com ou sem diploma nacional. Esperar só encurta o tempo disponível para os sistemas de risco elevado, cujo prazo é 2 de dezembro de 2027. O guia de análise de lacunas para o AI Act ajuda a planear.

Saiba onde está antes de o fiscalizador perguntar

Enquanto Portugal conclui a sua arquitetura de fiscalização, a melhor preparação é ter a casa arrumada. A avaliação gratuita de governança e maturidade em IA da Opsio tem 14 passos e cerca de 40 minutos de perguntas em português. No fim, recebe quatro documentos redigidos a partir das suas respostas: um quadro de governança de IA, uma política de utilização de IA, uma checklist de diligência devida para fornecedores de IA e um modelo de avaliação de riscos, além de um retrato de maturidade em dez áreas. Os documentos são entregues em inglês, em ficheiros Word editáveis, e ficam seus. É gratuito e sem compromisso. Se precisar de apoio depois, a equipa de consultoria de governação de IA está disponível.

Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744, e as publicações da ANACOM e do Diário da República. A informação sobre autoridades portuguesas reflete a situação à data de outubro de 2026.